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Gesetzentwurf 

der Bundesregierung 


Entwurf eines ... Strafrechtsänderungsgesetzes zur Bekämpfung 
der Computerkriminalität (... StrÄndG) 


A. Problem und Ziel 

Die rasanten Fortschritte im Bereich der Informationstechnologie bieten ein 
breites Spektrum neuer Möglichkeiten, aber auch des Missbrauchs, der vor den 
Grenzen der Staaten nicht haltmacht. Deshalb entstanden auf der Ebene des 
Europarates und der Europäischen Union Rechtsinstrumente, die der strafrecht- 
lichen Bekämpfung der Computerkriminalität dienen und die zu Umsetzungs- 
bedarf im deutschen Strafrecht führen: 

1. Das Übereinkommen des Europarates über Computerkriminalität vom 
23. November 2001 zielt auf einen Mindeststandard bei den Strafvorschriften 
über bestimmte schwere Formen der Computerkriminalität ab. Darüber 
hinaus enthält es Vorgaben für das Strafverfahrensrecht, die internationale 
Zusammenarbeit und zur Rechtshilfe. 

2. Der Rahmenbeschluss 2005/222/JI des Rates vom 24. Februar 2005 über 
Angriffe auf Informationssysteme (ABI. EU Nr. L 69 S. 67) verpflichtet die 
Mitgliedstaaten der Europäischen Union ebenfalls, schwere Formen der 
Computerkriminalität unter Strafe zu stellen. Durch Angleichung der einzel- 
staatlichen Strafvorschriften gegen Angriffe auf Informationssysteme soll die 
Zusammenarbeit zwischen den Justiz- und Strafverfolgungsbehörden ver- 
bessert werden. 


B. Lösung 

Der Umsetzung der Vorgaben zum materiellen Strafrecht des Europarat-Über- 
einkommens und der Vorgaben des Rahmenbeschlusses in nationales Recht 
dienen verschiedene Gesetzesänderungen im deutschen Recht (Einfügung der 
§§ 202b und 202c in das Strafgesetzbuch - StGB -, Änderung und Ergänzung 
der §§ 202a, 303a und 303b StGB, Klarstellung zu § 130 des Gesetzes über 
Ordnungswidrigkeiten sowie Folgeänderungen im StGB). 


C. Alternativen 

Keine 


D. Finanzielle Auswirkungen auf die öffentlichen Haushalte 

1 . Haushaltsausgaben ohne Vollzugsaufwand 
Keine 
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2. Vollzugsaufwand 

Aufgrund der Ausdehnung des deutschen Strafrechts ist zu erwarten, dass die 
Anzahl der Strafverfahren in einem begrenzten Ausmaß zunimmt. Dies kann zu 
nicht näher quantifizierbaren Haushaltsmehrausgaben bei den für die Durch- 
führung von Strafverfahren primär zuständigen Strafverfolgungsbehörden der 
Länder führen. Im Zuständigkeitsbereich des Bundes anfallende Haushalts- 
mehrausgaben sind allenfalls im geringen Umfang zu erwarten. Soweit 
Mehrkosten im Bereich der Strafverfolgung beim Bund entstehen, wird dieser 
Mehraufwand innerhalb des Einzelplans 07 gegenfinanziert. 


E. Sonstige Kosten 

Für die Wirtschaft entstehen durch dieses Gesetz bei normgemäßem Verhalten 
keine Kosten. Auswirkungen auf Einzelpreise und das Preisniveau, insbeson- 
dere das Verbraucherpreisniveau, sind in der Regel nicht zu erwarten. 
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Bundesrepublik Deutschland 
die Bundeskanzlerin 


Berlin, 



November 2006 


An den 

Präsidenten des 
Deutschen Bundestages 
Herrn Dr. Norbert Lammert 
Platz der Republik 1 
11011 Berlin 


Sehr geehrter Herr Präsident, 

hiermit übersende ich den von der Bundesregierung beschlossenen 

Entwurf eines ... Strafrechtsänderungsgesetzes zur 
Bekämpfung der Computerkriminalität (... StrÄndG) 

mit Begründung und Vorblatt (Anlage 1). 

Ich bitte, die Beschlussfassung des Deutschen Bundestages herbeizuführen. 
Federführend ist das Bundesministerium der Justiz. 

Der Bundesrat hat in seiner 827. Sitzung am 3. November 2006 gemäß Artikel 76 
Absatz 2 des Grundgesetzes beschlossen, zu dem Gesetzentwurf wie aus 
Anlage 2 ersichtlich Stellung zu nehmen. 

Die Auffassung der Bundesregierung zu der Stellungnahme des Bundesrates ist 
in der als Anlage 3 beigefügten Gegenäußerung dargelegt. 


Mit freundlichen Grüßen 
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Anlage 1 


Entwurf eines ... Strafrechtsänderungsgesetzes zur Bekämpfung 
der Computerkriminalität (... StrÄndG ) 1 

Vom ... 


Der Bundestag hat das folgende Gesetz beschlossen: 

Artikel 1 

Änderung des Strafgesetzbuches 

Das Strafgesetzbuch in der Fassung der Bekanntmachung 
vom 13. November 1998 (BGBl. 1 S. 3322), zuletzt geändert 
durch . . . (BGBl. IS. . . .) wird wie folgt geändert: 

1. Die Inhaltsübersicht wird wie folgt geändert: 

Nach der Angabe zu § 202a werden die Wörter „§ 202b 
Abfangen von Daten“ und „§ 202c Vorbereiten des Aus- 
spähens und Abfangens von Daten“ eingefugt. 

2. § 202a Abs. 1 wird wie folgt gefasst: 

„(1) Wer unbefugt sich oder einem anderen Zugang zu 
Daten, die nicht für ihn bestimmt und die gegen unbe- 
rechtigten Zugang besonders gesichert sind, unter Über- 
windung der Zugangssicherung verschafft, wird mit Frei- 
heitsstrafe bis zu drei Jahren oder mit Geldstrafe 
bestraft.“ 

3. Nach § 202a werden die folgenden §§ 202b und 202c 
eingefügt: 

„§ 202b 

Abfangen von Daten 

Wer unbefugt sich oder einem anderen unter Anwen- 
dung von technischen Mitteln nicht für ihn bestimmte 
Daten (§ 202a Abs. 2) aus einer nichtöffentlichen Daten- 
übermittlung oder aus der elektromagnetischen Abstrah- 
lung einer Datenverarbeitungsanlage verschafft, wird mit 
Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe 
bestraft, wenn die Tat nicht in anderen Vorschriften mit 
schwererer Strafe bedroht ist. 

§ 202c 

Vorbereiten des Ausspähens 
und Abfangens von Daten 

(1) Wer eine Straftat nach § 202a oder § 202b vorbe- 
reitet, indem er 

1. Passwörter oder sonstige Sicherungscodes, die den 
Zugang zu Daten (§ 202a Abs. 2) ermöglichen, oder 

2. Computerprogramme, deren Zweck die Begehung 
einer solchen Tat ist, 

herstellt, sich oder einem anderen verschafft, verkauft, 
einem anderen überlässt, verbreitet oder sonst zugänglich 
macht, wird mit Freiheitsstrafe bis zu einem Jahr oder mit 
Geldstrafe bestraft. 

(2) § 149 Abs. 2 und 3 gilt entsprechend.“ 


4. § 205 wird wie folgt geändert: 

a) Absatz 1 wird wie folgt geändert: 

aa) Die Angabe „bis 204“ wird durch die Angabe 
„ , 202, 203 und 204“ ersetzt. 

bb) Folgender Satz wird angefügt: 

„Dies gilt auch in den Fällen der §§ 202a und 
202b, es sei denn, dass die Strafverfolgungsbe- 
hörde wegen des besonderen öffentlichen Inter- 
esses an der Strafverfolgung ein Einschreiten von 
Amts wegen für geboten hält.“ 

b) In Absatz 2 Satz 1 wird die Angabe „des § 202a“ 
durch die Angabe „der §§ 202a und 202b“ ersetzt. 

5. Dem § 303a wird folgender Absatz 3 angefügt: 

„(3) Für die Vorbereitung einer Straftat nach Absatz 1 
gilt § 202c entsprechend.“ 

6. § 303b wird wie folgt geändert: 

a) Absatz 1 wird durch die folgenden Absätze 1 und 2 
ersetzt: 

„(1) Wer eine Datenverarbeitung, die für einen an- 
deren von wesentlicher Bedeutung ist, dadurch erheb- 
lich stört, dass er 

1. eine Tat nach § 303a Abs. 1 begeht, 

2. Daten (§ 202a Abs. 2) in der Absicht, einem ande- 
ren Nachteil zuzufügen, eingibt oder übermittelt 
oder 

3. eine Datenverarbeitungsanlage oder einen Daten- 
träger zerstört, beschädigt, unbrauchbar macht, be- 
seitigt oder verändert, 

wird mit Freiheitsstrafe bis zu drei Jahren oder mit 
Geldstrafe bestraft. 

(2) Handelt es sich um eine Datenverarbeitung, die 
für einen fremden Betrieb, ein fremdes Unternehmen 
oder eine Behörde von wesentlicher Bedeutung ist, ist 
die Strafe Freiheitsstrafe bis zu fünf Jahren oder Geld- 
strafe.“ 

b) Der bisherige Absatz 2 wird Absatz 3. 

c) Die folgenden Absätze 4 und 5 werden angefügt: 

„(4) In besonders schweren Fällen des Absatzes 2 
ist die Strafe Freiheitsstrafe von sechs Monaten bis zu 
zehn Jahren. Ein besonders schwerer Fall liegt in der 
Regel vor, wenn der Täter 

1 . einen Vermögensverlust großen Ausmaßes herbei- 
führt, 


1 Dieses Gesetz dient der Umsetzung des Übereinkommens des Europarates über Computerkriminalität und der Umsetzung des Rahmenbeschlusses 
2005/222/JI des Rates vom 24. Februar 2005 über Angriffe auf Informationssysteme (ABI. EU Nr. L 69 S. 67). 
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2. gewerbsmäßig oder als Mitglied einer Bande han- 
delt, die sich zur fortgesetzten Begehung von 
Computersabotage verbunden hat, 

3. durch die Tat die Versorgung der Bevölkerung mit 
lebenswichtigen Gütern oder Dienstleistungen 
oder die Sicherheit der Bundesrepublik Deutsch- 
land beeinträchtigt. 

(5) Für die Vorbereitung einer Straftat nach Ab- 
satz 1 gilt § 202c entsprechend.“ 

7. In § 303c wird die Angabe „bis 303b“ durch die Wörter 
„ , 303a Abs. 1 und 2 sowie § 303b Abs. 1 bis 3“ ersetzt. 


Artikel 2 

Änderung des Gesetzes 
über Ordnungswidrigkeiten 

ln § 130 Abs. 1 Satz 1 des Gesetzes über Ordnungswid- 
rigkeiten in der Fassung der Bekanntmachung vom 19. Feb- 
ruar 1987 (BGBl. I S. 602), das zuletzt durch ... (BGBl. 1 
S. . . .) geändert worden ist, werden die Wörter „als solchen“ 
gestrichen. 


Artikel 3 
Inkrafttreten 

Dieses Gesetz tritt am Tag nach der Verkündung in Kraft. 
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Begründung 


A. Allgemeiner Teil 

I. 

Die immer stärkere Verbreitung und Nutzung von Informa- 
tions- und Kommunikationstechnologien, insbesondere die 
Nutzung des Internets, wirken sich unmittelbar auf alle 
Bereiche der Gesellschaft aus. Die Einbeziehung von Tele- 
kommunikations- und Informationssystemen, die eine ent- 
fernungsunabhängige Speicherung und Übertragung von 
Daten aller Art gestatten, bieten ein breites Spektrum neuer 
Möglichkeiten, aber auch des Missbrauchs. Insbesondere 
komplexe Attacken gegen moderne Informationsstrukturen 
durch Computerviren, digitale trojanische Pferde, logische 
Bomben oder Würmer und Denial-of-Service-Attacken ver- 
ursachen hohe Schäden. Auch kriminelle, extremistische und 
terroristische Gruppen nutzen moderne Infonnations- und 
Kommunikationstechnologien verstärkt für ihre Zwecke. 

Computerkriminalität weist schon seit längerem interna- 
tionale Dimensionen auf. Insbesondere das weltumspannen- 
de Internet stellt eine neue Herausforderung für Strafverfol- 
gungsbehörden im In- und Ausland dar. Gerade im Internet 
werden die Taten vielfach grenzüberschreitend begangen, 
was als Folge die Lokalisierung und Identifizierung von 
Straftaten erschwert. Häufig nutzen dabei Straftäter auch 
Unterschiede in den nationalen Rechtsordnungen aus, um 
der Strafverfolgung und Bestrafung zu entgehen oder diese 
zumindest erheblich zu behindern. 

Daher wurden in den letzten Jahren sowohl im Rahmen des 
Europarates als auch auf Ebene der Europäischen Union 
strafrechtsbezogene Rechtsinstrumente beschlossen, die der 
Bekämpfung der Computerkriminalität dienen: 

1. Das von Deutschland am 23. November 2001 gezeichne- 
te und am 1 . Juli 2004 in Kraft getretene Übereinkommen 
des Europarates über Computerkriminalität (Europa- 
rat-Übereinkommen; ETS-Nummer 185) hat zum Ziel, 
einen gemeinsamen strafrechtlichen Mindeststandard zu 
schaffen, um einerseits Computerdaten und -Systeme ge- 
gen Angriffe auf ihre Vertraulichkeit, Integrität und Ver- 
fügbarkeit zu schützen und andererseits ihrem Miss- 
brauch zur Begehung von Straftaten entgegenzuwirken. 
Darüber hinaus enthält es Vorgaben für das Strafverfah- 
rensrecht, die internationale Zusammenarbeit und zur 
Rechtshilfe. 

2. Der Rahmenbeschluss des Rates der Europäischen Union 
über Angriffe auf Informationssysteme (EU-Rahmenbe- 
schluss) vom 24. Februar 2005 (ABI. EU Nr. L 69 S. 67), 
der sich auf die Bestimmungen des Titels VI des Vertrags 
über die Europäische Union (insbesondere die Artikel 29, 
30 Abs. 1 Buchstabe a, Artikel 3 1 Abs. 1 Buchstabe e 
und Artikel 34 Abs. 2 Buchstabe b) in der Fassung vom 
16. April 2003 (BGBl. 2003 II S. 1410) stützt, lehnt sich 
inhaltlich bei den zu harmonisierenden Straftatbeständen 
eng an das Europarat-Übereinkommen an, wenn auch in 
einigen Tatbeständen eine abweichende Terminologie 
verwendet wird. Durch Angleichung der einzelstaat- 
lichen Strafvorschriften gegen Angriffe auf Infonna- 
tionssysteme soll die Zusammenarbeit zwischen den 


Justiz- und Strafverfolgungsbehörden in den Mitglied- 
staaten verbessert werden. Der EU-Rahmenbeschluss 
verpflichtet die Mitgliedstaaten, schwere Formen der 
Computerkriminalität unter Strafe zu stellen, und führt 
hierfür strafrechtliche Mindeststandards ein. 


II. 

Mit diesem Gesetzesentwurf werden Änderungen im mate- 
riellen deutschen Strafrecht zur Umsetzung des EU-Rah- 
menbeschlusses und der Vorgaben zum materiellen Straf- 
recht - mit Ausnahme der Vorgaben zu inhaltsbezogenen 
Straftaten (Titel 3 des Europarat-Übereinkommens) - vor- 
geschlagen. Die Vorgaben des Europarat-Übereinkommens 
mit Bezug zu Kinderpornographie (Artikel 9 des Europa- 
rat-Übereinlcommens) werden durch den Entwurf eines Ge- 
setzes zur Umsetzung des Rahmenbeschlusses des Rates der 
Europäischen Union zur Bekämpfung der sexuellen Ausbeu- 
tung von Kindern und der Kinderpomographie umgesetzt. 
Die Umsetzung der Vorgaben hinsichtlich des Strafprozess- 
rechts erfolgt im Rahmen eines gesonderten Gesetzesvor- 
habens. 

Das deutsche Strafrecht entspricht den Vorgaben zum mate- 
riellen Strafrecht des Europarat-Übereinkommens und den 
Vorgaben des EU-Rahmenbeschlusses bereits weitgehend. 
Änderungen sind nur in Teilbereichen erforderlich. Ein 
Umsetzungsbedarf besteht lediglich - neben der erforder- 
lichen Umsetzung von Artikel 9 — im Hinblick auf die 
Artikel 2, 3, 5 und 6 des Europarat- Übereinkommens und die 
Artikel 2 und 3 des EU-Rahmenbeschlusses; im Rahmen der 
Umsetzung von Artikel 12 Abs. 2 des Europarat-Überein- 
kommens und Artikel 8 Abs. 2 des EU-Rahmenbeschlusses 
soll zudem eine Klarstellung im deutschen Recht erfolgen: 

1 . Artikel 2 des Europarat-Übereinkommens und Artikel 2 
des EU-Rahmenbeschlusses schreiben die Strafbarkeit 
des rechtswidrigen Zugangs zu einem Computer- und 
Infonnationssystem (so genanntes Hacking) vor. Vor- 
geschlagen wird daher eine Anpassung des § 202a StGB 
(Ausspähen von Daten). Zwar erfasst dieser Tatbestand 
faktisch schon heute vielfach das Hacking, also das 
„Knacken“ eines Infonnationssystems, da der Täter sich 
hierbei regelmäßig auch Daten verschafft. Geregelt wer- 
den soll jetzt, dass bereits der bloße Zugang zu besonders 
gesicherten Daten unter Überwindung von Sicherheits- 
maßnahmen strafbar ist, wenn dies unbefugt geschieht. 

2. Artikel 3 des Europarat-Übereinkommens enthält die 
Verpflichtung, das unbefugte Abfangen nichtöffentlicher 
Computerdateniibennittlung an ein Computersystem, aus 
einem Computersystem oder innerhalb eines Computer- 
systems einschließlich elektromagnetischer Abstrahlung 
aus einem Computersystem unter Strafe zu stellen. Vor- 
geschlagen wird ein Straftatbestand über das Abfangen 
von Daten (§ 202b StGB), um künftig alle nichtöffent- 
lichen Übermittlungen auch von solchen Daten zu erfas- 
sen, die nicht durch Sicherheitsvorkehrungen besonders 
geschützt sind. 
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3. Artikel 5 des Europarat-Übereinkommens und Artikel 3 
des EU-Rahmenbeschlusses enthalten die Verpflichtung, 
rechtswidrige Eingriffe in ein Computer- und Informa- 
tionssystem unter Strafe zu stellen. Der Straftatbestand 
der Computersabotage (§ 303b StGB) bedarf hier der 
Ergänzung, da er in seiner bisherigen Fassung nur Daten- 
verarbeitungen von fremden Unternehmen oder Behör- 
den schützt. Künftig sollen auch private Datenverarbei- 
tungen von wesentlicher Bedeutung erfasst werden. 
Außerdem ist eine Ausweitung der Tathandlungen erfor- 
derlich, da Störungshandlungen durch unbefugtes „Ein- 
geben“ und „Übermitteln“ von Computerdaten bislang 
nicht strafbar sind. Über die Umsetzung dieser Rechts- 
instrumente hinaus soll eine benannte Strafzumessungs- 
regel für besonders schwere Fälle der Computersabotage 
vorgesehen werden. 

4. Artikel 6 des Europarat-Übereinkommens schreibt die 
Strafbarkeit von bestimmten Vorbereitungshandlungen 
für Computerstraftaten nach den Artikeln 2 bis 5 des Eu- 
roparat-Übereinkommens vor. Ein Tatbestand, der Vorbe- 
reitungshandlungen zur Begehung von Computerstraf- 
taten erfasst, existiert im deutschen Strafgesetzbuch nur 
für den Computerbetrug (§ 263a Abs. 3 StGB). Vor- 
geschlagen wird daher, mit einem neuen § 202c StGB 
auch Vorbereitungshandlungen zum Ausspähen von Da- 
ten (§ 202a StGB) und Abfangen von Daten (§ 202b 
StGB - neu) unter Strafe zu stellen. Durch Verweisungen 
auf diesen Tatbestand sollen auch Vorbereitungshandlun- 
gen zu Datenveränderung (§ 303a StGB) und Comput- 
ersabotage (§ 303b StGB) künftig strafbar sein (§ 303a 
Abs. 3 und § 303b Abs. 4 StGB). 

5. Nach Artikel 8 Abs. 2 des EU-Rahmenbeschlusses muss 
eine juristische Person grundsätzlich auch dann verant- 
wortlich gemacht werden können, wenn mangelnde 
Überwachung oder Kontrolle einer Leitungsperson die- 
ser juristischen Person die Begehung der in den 
Artikeln 2 bis 5 genannten Straftaten zugunsten der juris- 
tischen Person durch eine ihr unterstellte Person ermög- 
licht haben. Eine entsprechende Vorgabe enthält 
Artikel 12 Abs. 2 des Europarat-Übereinkommens im 
Hinblick auf die dort umschriebenen Delikte. Durch die 
vorgesehene Streichung der Wörter „als solchen“ in 
§ 130 Abs. 1 Satz 1 des Ordnungswidrigkeitengesetzes 
(OWiG) soll im Einklang mit der herrschenden Meinung 
klargestellt werden, dass § 130 OWiG nicht nur Sonder- 
delikte erfasst, sondern - ebenso wie § 30 OWiG — auch 
Allgemeindelikte, wenn sie im Zusammenhang mit der 
Betriebs- oder Untemehmensführung stehen und daher 
auch die §§ 202a, 202b, 202c, 303a und 303b StGB taug- 
liche Anknüpfungstaten für eine Verantwortlichkeit nach 
den §§ 30, 130 OWiG sein können. 


III. 

Den übrigen Vorgaben des EU-Rahmenbeschlusses genügt 
das geltende Recht bereits heute: 

1. Die Verpflichtung aus Artikel 4 des EU-Rahmen- 
beschlusses, rechtswidrige Eingriffe in Daten unter Strafe 
zu stellen, ist durch § 303a StGB abgedeckt. 


2. Die Verpflichtung aus Artikel 5 Abs. 1 des EU-Rahmen- 
beschlusses (Strafbarkeit der Anstiftung und Beihilfe) 
wird aufgrund der im deutschen Recht nicht deliktsspezi- 
fisch ausgestalteten §§ 26, 27 StGB erfüllt. 

3 . Die Verpflichtung zur Einführung der Versuchsstrafbar- 
keit in Artikel 5 Abs. 2 des EU-Rahmenbeschlusses ist 
im deutschen Recht ebenfalls erfüllt, da § 303a Abs. 2 
und § 303b Abs. 2 (künftig: Abs. 3) StGB diese bereits 
vorsehen. Von der Möglichkeit, Artikel 5 Abs. 2 des 
EU-Rahmenbeschlusses nicht auf die Straftaten nach 
Artikel 2 des EU-Rahmenbeschlusses anzuwenden, wird 
Gebrauch gemacht (vgl. Artikel 5 Abs. 3 des EU- 
Rahmenbeschlusses). Für den rechtswidrigen Zugang zu 
einem Informationssystem soll keine Versuchsstrafbar- 
keit vorgesehen werden. 

4. Die Verpflichtung zur Einhaltung bestimmter Mindest- 
höchststrafen in Artikel 6 des EU-Rahmenbeschlusses 
führt nicht zu einem Umsetzungsbedarf, da die §§ 202a, 
303a und 303b StGB eine Freiheitsstrafe von mindestens 
einem Jahr im Höchstmaß vorsehen. 

5. Die Verpflichtung aus Artikel 7 des EU-Rahmen- 
beschlusses zur höheren Bestrafung bei bestimmten er- 
schwerenden Umständen führt ebenfalls nicht zu einem 
Umsetzungsbedarf, da die im EU-Rahmenbeschluss be- 
zeichneten Delikte ohnehin eine Freiheitsstrafe von min- 
destens zwei Jahren im Höchstmaß vorsehen. 

6. Die Artikel 8 und 9 des EU-Rahmenbeschlusses (Verant- 
wortlichkeit und Sanktionen bei juristischen Personen) 
sind - abgesehen von der zu § 130 OWiG vorgesehenen 
Klarstellung - durch die §§ 30, 130 OWiG abgedeckt. 

7. Die Verpflichtungen aus Artikel 10 des EU-Rahmen- 
beschlusses (gerichtliche Zuständigkeit) werden im We- 
sentlichen durch § 3 ff. StGB abgedeckt. Artikel 10 
Abs. 1 Buchstabe a des EU-Rahmenbeschlusses wird 
durch § 3 in Verbindung mit § 9 StGB erfüllt (Territo- 
rialitätsprinzip). ln Artikel 10 Abs. 1 Buchstabe b des 
EU-Rahmenbeschlusses ist das Nationalitätsprinzip gere- 
gelt. Im deutschen Recht sind Auslandstaten Deutscher, 
die zur Tatzeit am Tatort mit Strafe bedroht sind oder dort 
keiner Strafgewalt unterliegen, strafbar (§ 7 Abs. 2 Nr. 1 
StGB). Von der Möglichkeit des Artikels 10 Abs. 5 des 
EU-Rahmenbeschlusses, die Zuständigkeitsregeln des 
Artikels 10 Abs. 1 Buchstabe b und c nicht oder nur in 
bestimmten Fällen oder unter bestimmten Umständen an- 
zuwenden, wird Gebrauch gemacht. Die Zuständigkeits- 
regel in Artikel 10 Abs. 1 Buchstabe b ist bei Taten von 
Deutschen, die außerhalb Deutschlands begangen wur- 
den, nur in Fällen anzuwenden, wenn die Tat zur Tatzeit 
am Tatort mit Strafe bedroht ist oder dort keiner Strafge- 
walt unterliegt. Die Zuständigkeitsregel in Artikel 10 
Abs. 1 Buchstabe c, die eine Begründung der Zuständig- 
keit für Fälle vorsieht, in denen die Straftat zugunsten ei- 
ner juristischen Person mit Sitz im Hoheitsgebiet dieses 
Mitgliedstaats begangen wurde, ist nicht anzuwenden. 

IV. 

Die Gesetzgebungskompetenz des Bundes folgt aus Arti- 
kel 74 Abs. 1 Nr. 1 des Grundgesetzes (Strafrecht). 
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V. 

Die Erweiterung des materiellen Strafrechts lässt zwar er- 
warten, dass die Anzahl der Strafverfahren zunehmen wird. 
Dies kann zu nicht näher quantifizierbaren Haushaltsmehr- 
ausgaben bei den für die Durchführung von Strafverfahren 
primär zuständigen Strafverfolgungsbehörden der Länder 
führen. Im Zuständigkeitsbereich des Bundes anfallende 
Haushaltsmehrausgaben sind allenfalls im geringen Umfang 
zu erwarten. Soweit Mehrkosten im Bereich der Strafverfol- 
gung beim Bund entstehen, wird dieser Mehraufwand inner- 
halb des Einzelplans 07 gegenfmanziert. 

Für die Wirtschaft, insbesondere für die mittelständischen 
Unternehmen, entstehen bei regelkonformem Verhalten kei- 
ne zusätzlichen Kosten. Auswirkungen auf Einzelpreise und 
das Preisniveau, insbesondere auf das Verbraucherpreis- 
niveau, sind nicht zu erwarten. Da Computerkriminalität zu 
hohen Schäden führt, kann eine stärkere Bekämpfung 
vielmehr dazu beitragen, Schäden und somit auch Kosten zu 
vermeiden. Mittelbar preisrelevante Effekte aufgrund des 
erforderlichen, aber geringfügigen (Gegen-)Finanzierungs- 
aufwandes sind nicht zu erwarten, da die öffentlichen 
Haushalte allenfalls durch den leicht gestiegenen Voll- 
zugsaufwand belastet werden. 

VI. 

Der Entwurf hat keine erkennbaren gleichstellungspoliti- 
schen Auswirkungen. Grundsätzlich sind weibliche und 
männliche Personen von den Vorschriften des Entwurfs in 
gleicher Weise betroffen. 

B. Besonderer Teil 

Zu Artikel 1 (Änderung des Strafgesetzbuches) 

Zu Nummer 1 (Inhaltsübersicht) 

Es handelt sich um redaktionelle Folgeänderungen zur Ein- 
fügung der §§ 202b und 202c StGB. 

Zu Nummer 2 (§ 202a StGB) 

1 . Die N eufassung des Absatzes 1 dient der Umsetzung von 
Artikel 2 des Europarat-Übereinkommens (Rechtswidri- 
ger Zugang) und Artikel 2 des EU-Rahmenbeschlusses 
(Rechtswidriger Zugang zu Informationssystemen) in in- 
nerstaatliches Recht. Danach ist der unbefugte Zugang zu 
einem Computer- und Infonnationssystem als Ganzem 
oder zu einem Teil davon unter Strafe zu stellen (so ge- 
nanntes Hacking). 

Der Gesetzentwurf schlägt vor, in Absatz 1 bereits den 
unbefugten Zugang zu Daten zur strafbaren Handlung zu 
erklären. Nach der Neufassung macht sich strafbar, wer 
sich oder einem anderen Zugang zu Daten verschafft, die 
nicht für ihn bestimmt und die gegen unberechtigten Zu- 
gang besonders gesichert sind. Ein Sichverschaffen von 
Daten wird künftig nicht mehr erforderlich sein. 

2. Nach dem ausdrücklichen Willen des Gesetzgebers sollte 
die Vorschrift des § 202a StGB, die durch das Zweite Ge- 
setz zur Bekämpfung der Wirtschaftskriminalität vom 
15. Mai 1986 (2. WiKG; BGBl. I S. 721) in das Strafge- 


setzbuch eingefügt wurde, das bloße Hacking, also den 
reinen Zugang zu Daten, nicht erfassen. Zur Vermeidung 
einer Überkriminalisierung sollte die Vorschrift nur ein- 
greifen, wenn das Eindringen in ein Computersystem mit 
einem Ab-/Aufrufen von Daten verbunden ist (vgl. Be- 
schlussempfehlung und Bericht des Rechtsausschusses, 
Bundestagsdrucksache 10/5058, S. 28 f.). Zur Begrün- 
dung wurde angeführt, dass das bloße Eindringen ohne 
ein Sichverschaffen der Daten noch keine Rechtsguts- 
beeinträchtigung begründe (vgl. Beschlussempfehlung 
und Bericht, a. a. O., S. 28). 

Die herrschende Meinung legt das „Sichverschaffen von 
Daten“ in § 202a StGB jedoch weit aus, so dass das 
Hacking faktisch bereits heute - entgegen der Absicht 
des Gesetzgebers - in weitem Umfang erfasst ist. So soll 
für die Verwirklichung des Tatbestandes jede Kenntnis- 
nahme von Daten genügen; bei verschlüsselten Daten 
gelte dies jedenfalls dann, wenn sie entschlüsselbar sind 
(vgl. Tröndle/Fischer, StGB, 53. Aufl., § 202a Rn. 10; 
Schönke/Schröder-Lenckner, StGB, 27. Aufl., § 202a 
Rn. 10; MünchKomm-Graf, StGB, § 202a Rn. 47). 

Für die Strafwürdigkeit des Hacking wird auf die Gefahr 
des Eintritts von möglicherweise nur mit erheblichem 
Aufwand zu beseitigenden Schäden, auf Gefahren für die 
Integrität von Daten und Programmen sowie auf die Ge- 
fahr der Begehung von durch ein solches Eindringen 
möglichen weiteren Straftaten hingewiesen. Ausgehend 
vom geschützten Rechtsgut - dem formellen Geheim- 
haltungsinteresse des Verfügungsberechtigten (vgl. Bun- 
destagsdrucksache 10/5058, S. 28 f.) - erscheine es 
schwierig nachzuvollziehen, dass durch das Hacking 
keine Rechtsgutbeeinträchtigung eintrete, ln jedem Falle 
werde die „formale Geheimsphäre“ oder die Integrität 
des betreffenden Computersystems beeinträchtigt 
(vgl. Sieber, CR 1995, 100, 103; Dannecker, BB 1996, 
1285, 1289; ähnlich Schulze-Heimig, Der strafrechtliche 
Schutz der Computerdaten gegen die Angriffsformen der 
Spionage, Sabotage und des Zeitdiebstahls - 1995 -, 
S. 82 f.; Jessen, Zugangsberechtigung und besondere 
Sicherung im Sinne von § 202a StGB — 1994 — , S. 184). 
In der Praxis sei darüber hinaus ein Eindringen ohne 
Kenntnisnahme der Zieldateien als unwahrscheinlich an- 
zusehen (so auch Tröndle/Fischer, a. a. 0., § 202a 
Rn. 11; Schönke/Schröder-Lenckner, a. a. 0., § 202a 
Rn. 10; Jessen, a. a. 0., S. 180; Hauptmann, jur-pc 1989, 
215, 216: eine Trennung zwischen Eindringen und Auf- 
rufen der Daten sei technisch nicht möglich). 

Die neue Vorschrift („sich Zugang verschaffen“) mit 
ihrer vorverlagerten Strafbarkeit trifft das eigentliche 
Unrecht besser als das geltende Recht („sich Daten ver- 
schaffen“). Im Wesentlichen hat sie bezüglich der bereits 
herrschenden Auslegung des bisherigen § 202a StGB nur 
eine Klarstellungsfunktion. Die generelle Gefährlichkeit 
und Schädlichkeit von Hacking-Angriffen zeigen sich 
vor allem in jüngster Zeit auch in Deutschland (z. B. 
durch den Einsatz von Key-Logging-Trojanem, Sniffern 
oder Backdoorprogrammen), weshalb an ihrer Strafwür- 
digkeit und -bedürftigkeit keine Zweifel bestehen. 

3. Der Tatbestand soll - im Anschluss an das geltende 
Recht — dadurch eingeschränkt werden, dass nur der 
Zugang zu Daten erfasst wird, die nicht für den Täter be- 
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stimmt und die gegen unberechtigten Zugang besonders 
gesichert sind. Zudem soll - klarstellend - vorgesehen 
werden, dass nur solches Verhalten strafbar ist, bei dem 
das Verschaffen unter Überwindung einer Zugangssiche- 
rung erfolgt. Diese Einschränkungsmöglichkeit ist durch 
Artikel 2 Satz 2 des Europarat-Übereinkommens und 
Artikel 2 Abs. 2 des EU-Rahmenbeschlusses ausdrück- 
lich vorgesehen. 

Der Einschränkung auf solche Daten, die gegen unberech- 
tigten Zugang besonders gesichert sind, kommt eine be- 
sondere Bedeutung für die Eingrenzung des Tatbestandes 
zu. Daten sind gegen unberechtigten Zugang besonders 
gesichert, wenn Vorkehrungen getroffen sind, den Zugriff 
auf Daten auszuschließen oder wenigstens nicht unerheb- 
lich zu erschweren (Schönke/Schröder-Lenckner, a. a. O., 
§ 202a Rn. 7; Lackner/Kühl, StGB, 25. Auf!., § 202a 
Rn. 4; MünchKomm-Graf, a. a. O., § 202a Rn. 31). Dies 
braucht zwar nicht ihr einziger Zweck zu sein. Jedenfalls 
aber muss der Berechtigte durch die Sicherung gerade 
auch sein spezielles Interesse an der Geheimhaltung 
dokumentieren (Bundestagsdrucksache 10/5058, S. 29; 
Schönke/Schröder-Lenckner, a. a. O., § 202a Rn. 7 

m. w. N.). Daher muss die besondere Sicherung den 
Zweck haben, den Zugang zu verhindern (LK-Schüne- 
mann, StGB, 11. Aufl., § 202a Rn. 15). Nicht ausreichend 
ist es, wenn die Sicherung, mag sie auch objektiv zugleich 
als Zugangssicherung wirken, ausschließlich anderen 
Zwecken dient oder der Zweck der Datensicherung nur 
von ganz untergeordneter Bedeutung oder ein bloßer Ne- 
beneffekt ist. Ausgegrenzt werden auch die Fälle, in denen 
sich der Geheimhaltungswille des Berechtigten nicht auf 
die im System enthaltenen Daten bezieht, sondern in de- 
nen lediglich eine unbefugte Verwendung der Hardware 
unterbunden werden soll. Nicht erfasst werden daher die 
bloße Ingebrauchnahme von verschlossenen elektroni- 
schen Geräten gegen den Willen des Berechtigten und die 
Umgehung eines Kopierschutzes. 

Dass darüber hinaus zur Tatbestandserfüllung die Über- 
windung der Zugangssicherung erforderlich ist, wird von 
der herrschenden Meinung in der Literatur bereits für den 
bisherigen Tatbestand angenommen, wobei dies zum 
Teil aus dem Sinnzusammenhang der Norm geschlossen 
wird (vgl. Schönke/Schröder-Lenckner, a. a. O., § 202a 
Rn. 10; LK-Schünemann, a. a. O., § 202a Rn. 7; Münch- 
Komm-Graf, a. a. O., § 202a Rn. 48; Hilgendorf, JuS 
1996, 702, 704). Hierdurch sollen Handlungen ausge- 
grenzt werden, bei denen besonders gesicherte Daten auf 
andere Weise erlangt werden. Dieses Erfordernis soll 
auch für das Zugangsdelilct übernommen werden. 

Diese Einschränkung führt zudem dazu, dass Bagatell- 
fälle aus dem Anwendungsbereich des Straftatbestandes 
herausgehalten werden. Das Merkmal der Zugangssiche- 
rung setzt dem Täter eine deutliche Schranke; die Über- 
windung der Sicherung manifestiert die strafwürdige kri- 
minelle Energie (LK-Schünemann, a. a. O., § 202a Rn. 7 
und 14 m. w. N.). Eine Schutzvorkehrung ist nur dann 
eine Zugangssicherung im Sinne des § 202a, wenn sie je- 
den Täter zu einer Zugangsart zwingt, die der Verfü- 
gungsberechtigte erkennbar verhindern wollte (Tröndle/ 
Fischer, a. a. O., § 202a, Rn. 8). Nicht erfasst werden 
daher Fälle, in denen dem Angreifer die Durchbrechung 


des Schutzes ohne weiteres möglich ist (Münch- 
Komm-Graf, a. a. O., § 202a Rn. 28; Tröndle/Fischer, 
a. a. O., § 202a Rn. 8). Erforderlich ist vielmehr, dass die 
Überwindung der Zugangssicherung einen nicht uner- 
heblichen zeitlichen oder technischen Aufwand erfordert 
(LK-Schünemann, a. a. O., § 202a Rn. 15). Auch die 
Verletzung oder Umgehung von organisatorischen Maß- 
nahmen oder Registrierungspflichten erfüllt grundsätz- 
lich nicht den Tatbestand (LK-Schünemann, a. a. O., 
§ 202a Rn. 14; MünchKomm-Graf, a. a. O., § 202a 
Rn. 21 und 31; Sieber in Hoeren/Sieber, Handbuch Mul- 
timediarecht, 2004, 19 Rn. 420). Der Fall, dass sich ein 
Täter ohne ordnungsgemäßen Anschluss Zugang zu ent- 
geltlichen Datenbanken verschafft, wird allerdings von 
§ 202a erfasst (Bundestagsdrucksache 10/5058, S. 29). 

Auch nach der Neufassung des Tatbestandes ist die Ver- 
schaffung des Zugangs zu Daten unter Verletzung von 
Sicherheitsmaßnahmen nur strafbewehrt, wenn der Täter 
unbefugt handelt. Nicht strafbar ist daher z. B. das Auf- 
spüren von Sicherheitslücken im EDV-System eines 
Unternehmens, soweit der „Hacker“ vom Inhaber des 
Unternehmens mit dieser Aufgabe betraut wurde. 

Wie beim bisherigen Tatbestand soll es nicht erforderlich 
sein, dass es sich bei den geschützten Daten um Compu- 
terdaten handelt, also solche, die in einer EDV-Anlage 
gespeichert oder in eine solche oder aus einer solchen 
übermittelt werden (zum bisherigen § 202a: Möhren- 
schlager, wistra 1986, 128, 140). Insoweit geht die vor- 
geschlagene Vorschrift über die Vorgaben des Europa- 
rat-Übereinkommens und des EU-Rahmenbeschlusses 
hinaus, die auf den Zugang zu einem Computer- und In- 
formationssystem abstellen. 

4. Trotz der Herabsetzung der Schwelle zur Tatbestands- 
verwirklichung soll die Strafhöhe nicht herabgesetzt wer- 
den, da auch der Fall des Sichverschaffens von Daten von 
der Neufassung des § 202a StGB erfasst wird. Die Anfor- 
derungen der Artikel 6 und 7 des EU-Rahmenbeschlus- 
ses an die Mindesthöchststrafe werden eingehalten. 

5. Eine Versuchsstrafbarkeit wird angesichts der ohnehin 
geringen Schwelle zur Verwirklichung des Tatbestandes 
nicht vorgeschlagen. Hierbei wird von der Möglichkeit in 
Artikel 5 Abs. 3 des EU-Rahmenbeschlusses Gebrauch 
gemacht, Artikel 5 Abs. 2 mit seiner Verpflichtung zur 
Einführung der Strafbarkeit des Versuchs nicht anzuwen- 
den. 

Zu Nummer 3 (§§ 202b und 202c StGB) 

Zu § 202b StGB (Abfangen von Daten) 

Der neue § 202b StGB setzt Artikel 3 des Europarat-Über- 
einkommens (Rechtswidriges Abfangen) um. Artikel 3 gibt 
den Vertragsstaaten vor, das mit technischen Hilfsmitteln 
bewirkte unbefugte Abfangen nichtöffentlicher Computer- 
datenübermittlungen an, aus oder innerhalb eines Computer- 
systems einschließlich elektromagnetischer Abstrahlungen 
aus einem Computersystem, das Träger solcher Computer- 
daten ist, unter Strafe zu stellen. 

1 . Der Gesetzentwurf schlägt daher vor, in § 202b StGB das 
Sichverschaffen von Daten aus einer nichtöffentlichen 
Datenübermittlung und aus der elektromagnetischen Ab- 
strahlung einer Datenverarbeitungsanlage unter Anwen- 
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düng technischer Mittel unter Strafe zu stellen. Diese 
Vorschrift stellt das elektronische Pendant zu dem Abhö- 
ren und Aufzeichnen von Telefongesprächen dar. Erfasst 
werden alle Formen der elektronischen Datenübermitt- 
lung. Hierzu gehören u. a. E-Mail, Fax und Telefon. Tat- 
objekt sind nur Daten, die sich zur Zeit der Tat in einem 
Übertragungsvorgang befinden. Gespeicherte Daten, die 
zu einem früheren Zeitpunkt übermittelt wurden, fallen 
nicht hierunter. Da Daten nicht nur bei einem Übermitt- 
lungsvorgang abgefangen, sondern auch aus elektromag- 
netischen Abstrahlungen aus Computersystemen wieder- 
hergestellt werden können, werden solche Tathandlungen 
ausdrücklich erfasst. 

§ 202b StGB trägt dem technischen Fortschritt Rech- 
nung, da die gängigen Kommunikationsformen heutzuta- 
ge nicht mehr auf das herkömmliche Telefon beschränkt 
sind. Das bisher geltende Recht erfasst diese Fälle nur 
fragmentarisch. Nach § 201 StGB ist das illegale Abhö- 
ren von Telefongesprächen, nach § 148 in Verbindung 
mit § 89 des Telekommunikationsgesetzes das Abhören 
von Nachrichten mit einer Funkanlage strafbar. § 202a 
StGB erfasst zwar auch Daten, die übermittelt werden, al- 
lerdings nur dann, wenn sie besonders gesichert sind, wo- 
mit die Regelung nur einen Schutz gegenüber verschlüs- 
selten Daten gewährt. Aufgrund der Lückenhaftigkeit des 
geltenden Rechts besteht ein Regelungsbedarf, da es kei- 
nen Unterschied macht, welche Mittel für einen Kommu- 
nikationsvorgang eingesetzt werden können. Schutzwür- 
dig sind alle nichtöffentlichen Kommunikationen. Die 
Tathandlung, das eigennützige oder fremdniitzige Ver- 
schaffen von Daten, kann auf verschiedenste Weise reali- 
siert werden. Es ist nicht erforderlich, dass die maßgeb- 
lichen Daten abgespeichert oder aufgezeichnet werden. 
Vielmehr genügen zum Beispiel bei Telefongesprächen 
das Mithören und bei E-Mails die bloße Kenntnisnahme. 
Ausreichend ist der Erwerb der Herrschaft über die 
Daten. 

2. Der Tatbestand soll dadurch eingeschränkt werden, dass 
nur die nichtöffentliche Übermittlung von Daten, die 
nicht für den Täter bestimmt sind, erfasst wird. Entschei- 
dend für die „Nichtöffentlichkeit“ einer Datenübermitt- 
lung sind nicht Art oder Inhalt der übertragenen Daten, 
sondern die Art des Übertragungsvorgangs. So kann auch 
eine Übermittlung über das Internet nichtöffentlich sein, 
selbst wenn es sich bei den übennittelten Daten um Infor- 
mationen öffentlich zugänglicher Art handelt. Zur Aus- 
legung des Begriffs „nichtöffentlich“ kann auf die Rege- 
lung in § 201 Abs. 2 Nr. 2 StGB zurückgegriffen werden. 

3. Eine weitere Einschränkung des Tatbestandes soll durch 
die Voraussetzung der Anwendung „technischer Mittel“ 
erreicht werden, um eine Überkriminalisierung zu ver- 
hindern. Technische Mittel können neben Vorrichtungen 
zur Erfassung und Aufzeichnung drahtloser Kommuni- 
kationen auch Software, Codes oder Passwörter sein. 

4. Der neue § 202b StGB enthält eine ausdrückliche Sub- 
sidiaritätsklausel. Damit wird klargestellt, dass die neue 
Vorschrift im Wesentlichen nur eine Ergänzungsfimktion 
hat, wenn beispielsweise nicht bereits die § § 20 1 und 202a 
StGB eingreifen. 

5. Eine Versuchsstrafbarkeit wird wegen der geringen 
Schwelle zur Verwirklichung des Tatbestandes und der 


Subsidiarität des Tatbestandes zu § 202a StGB, der eben- 
falls keine Versuchsstrafbarkeit vorsieht, nicht vorge- 
schlagen. Es soll von der Möglichkeit, einen Vorbehalt 
gegen die Verpflichtung aus Artikel 1 1 Abs. 2 des 
Europarat-Übereinlcommens hinsichtlich der Versuchs- 
strafbarkeit in Bezug auf das rechtswidrige Abfangen 
(Artikel 3 des Europarat-Übereinkommens) einzulegen, 
Gebrauch gemacht werden (vgl. Artikel 11 Abs. 3 des 
Europarat-Übereinlcommens). Bei Hinterlegung der Rati- 
fikationsurkunde wird daher eine Erklärung nach den Ar- 
tikeln 40, 42 des Europarat-Übereinkommens abgegeben 
werden, nach der Artikel 1 1 Abs. 2 des Europarat-Über- 
einkommens nur teilweise angewendet wird. 

6. Die Einfügung des Tatbestandes in den 15. Abschnitt soll 
die Struktur der vorhandenen Regelungen unangetastet 
lassen, die dem Schutz des persönlichen Lebens- und Ge- 
heimbereichs zwar als eigenständiges, in den einzelnen 
Tatbeständen aber sehr differenziertes Rechtsgut dienen. 
Die Differenzierung soll beibehalten werden. Schutzgut 
des neuen § 202b StGB ist zwar wie bei § 202a StGB 
auch das formelle Geheimhaltungsinteresse des Verfü- 
gungsberechtigten, aber nicht aufgrund einer besonderen 
Manifestation des Geheimhaltungswillens, sondern auf- 
grund des allgemeinen Rechts auf Nichtöffentlichkeit der 
Kommunikation. 

Zu § 202c StGB (Vorbereiten des Ausspähens und Abfan- 
gens von Daten) 

Mit dem neuen § 202c StGB sollen bestimmte besonders ge- 
fährliche Vorbereitungshandlungen selbständig mit Strafe 
bedroht werden. Die Regelung dient der Umsetzung von 
Artikel 6 Abs. 1 Buchstabe a des Europarat-Übereinkom- 
mens (Missbrauch von Vorrichtungen). 

1. Nach Artikel 6 Abs. 1 Buchstabe a Nr. ii des Europa- 
rat-Übereinkommens hat jede Vertragspartei zumindest 
das Herstellen, Verkaufen, Beschaffen zwecks Ge- 
brauchs, Einfuhren, Verbreiten oder anderweitige Ver- 
fügbarmachen eines Computerpassworts, eines Zugangs- 
codes oder ähnlicher Daten, die den Zugang zu einem 
Computersystem als Ganzem oder zu einem Teil davon 
ennöglichen, mit dem Vorsatz, sie zur Begehung be- 
stimmter Computerstraftaten zu verwenden, unter Strafe 
zu stellen. 

Daher schlägt der Gesetzesentwurf vor, in § 202c Abs. 1 
Nr. 1 StGB die Vorbereitung einer Straftat nach den 
§§ 202a und 202b StGB durch Herstellen, sich oder 
einem anderen Verschaffen, Verkaufen, Überlassen, Ver- 
breiten oder sonst Zugänglichmachen von Passwörtern 
oder sonstigen Sicherungscodes zur strafbaren Handlung 
zu erklären. 

2. Zudem enthält das Europarat-Übereinkommen in Arti- 
kel 6 Abs. 1 Buchstabe a Nr. i die Vorgabe, das Herstel- 
len, Verkaufen, Beschaffen zwecks Gebrauchs, Einfüh- 
ren, Verbreiten oder anderweitige Verfügbarmachen einer 
Vorrichtung einschließlich eines Computerprogramms, 
die in erster Linie dafür ausgelegt oder hergerichtet wor- 
den ist, bestimmte Computerstraftaten zu begehen, als 
Straftat auszugestalten. Zwar sieht das Europarat-Über- 
einkommen in Artikel 6 Abs. 3 die Möglichkeit vor, 
einen Vorbehalt gegen diese Vorgabe einzulegen. Von der 
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Vorbehaltsmöglichkeit soll aber nur hinsichtlich des 
Merkmals „Vorrichtung“ Gebrauch gemacht werden. Die 
Erstreckung der Strafbarkeit auf die übrigen Vorberei- 
tungshandlungen ist dagegen sachgerecht. Diese Ver- 
haltensweisen werden strafrechtlich zwar bereits als Bei- 
hilfehandlung (§ 27 StGB) im Fall der tatsächlichen 
Begehung einer Straftat nach § 202a Abs. 1 StGB erfasst. 
Das strafwürdige Unrecht wird damit aber nicht ausrei- 
chend berücksichtigt. Kommt es nicht zur Begehung der 
Haupttat des § 202a Abs. 1 StGB, läge nur eine nicht 
strafbare versuchte Beihilfe vor. Für ein Strafbedürfnis 
spricht die hohe Gefährlichkeit solcher Tathandlungen. 
Erfasst werden insbesondere die so genannten Hacker- 
Tools, die bereits nach der Art und Weise ihres Aufbaus 
darauf angelegt sind, illegalen Zwecken zu dienen, und 
die aus dem Internet weitgehend anonym geladen werden 
können. Insbesondere die durch das Internet mögliche 
weite Verbreitung und leichte Verfügbarkeit der 
Hacker-Tools sowie ihre einfache Anwendung stellen 
eine erhebliche Gefahr dar, die nur dadurch effektiv be- 
kämpft werden kann, dass bereits die Verbreitung solcher 
an sich gefährlichen Mittel unter Strafe gestellt wird. 

Daher wird in Absatz 1 Nr. 2 vorgeschlagen, die Vorbe- 
reitung einer Straftat nach den §§ 202a und 202b StGB 
durch Herstellen, Verschaffen, Verkaufen, Überlassen, 
Verbreiten oder sonst Zugänglichmachen von Computer- 
programmen, deren Zweck die Begehung einer solchen 
Tat ist, unter Strafe zu stellen. 

3. Eine Einschränkung des Absatzes 1 Nr. 2 soll - in Anleh- 
nung an § 263a Abs. 3 StGB - dadurch erreicht werden, 
dass bereits im objektiven Tatbestand auf die Bestim- 
mung des Computerprogramms als Mittel zur Begehung 
einer Straftat nach den §§ 202a und 202b StGB abgestellt 
wird, um eine Überkriminalisierung zu verhindern. Es 
kommt insoweit auf die (objektivierte) Zweckbestim- 
mung des Programms an. Somit ist sichergestellt, dass 
nur Hacker-Tools erfasst werden und die allgemeinen 
Programmier-Tools, -sprachen oder sonstigen Anwen- 
dungsprogramme bereits nicht unter den objektiven Tat- 
bestand der Strafvorschrift fallen. Das Programm muss 
aber nicht ausschließlich für die Begehung einer Compu- 
terstraftat bestimmt sein. Es reicht, wenn die objektive 
Zweckbestimmung des Tools auch die Begehung einer 
solchen Straftat ist. 

4. Der Tatbestand ist bereits dann erfüllt, wenn sich die 
Tathandlung auf nur ein Passwort oder einen sonstigen 
Sicherungscode oder auf nur ein Computerprogramm 
bezieht. Die Verwendung des Plurals hat lediglich 
sprachliche Gründe und erfolgt in Angleichung an andere 
Tatbestände, mit denen Vorbereitungshandlungen unter 
Strafe gestellt werden (z. B. § 149 Abs. 1, § 263a Abs. 3 
und § 275 Abs. 1 StGB). Auch dort wird der Plural für 
die Tatobjekte verwendet, obwohl nicht ausschließlich 
die Mehrzahl gemeint ist. Aus der Verwendung des 
Plurals sind keine begrifflichen Folgerungen zu ziehen 
(vgl. RGSt 55, 101, 102; BGHSt 23,^46, 53; BGHSt 46, 
147, 153). 

5. Von der Möglichkeit, einen Vorbehalt gegen die Vorgabe 
in Artikel 6 Abs. 1 des Europarat-Übereinkommens hin- 
sichtlich der weiteren Tathandlung des Besitzes einzule- 
gen, soll Gebrauch gemacht werden. Bei der Hinterlegung 


der Ratifikationsurkunde wird daher eine Erklärung nach 
den Artikeln 40, 42 des Übereinkommens abgegeben wer- 
den, nach der Artikel 6 Abs. 1 des Übereinkommens nur 
teilweise angewendet wird. 

6. Absatz 2 enthält durch den Verweis auf § 149 Abs. 2 
und 3 StGB den Strafaufhebungsgrund der tätigen Reue. 
Dieser soll wie bei den §§ 152a, 152b, 263a, 275 und 
276a i. V. m. 275 StGB auch auf die Fälle des § 202c 
Abs. 1 StGB Anwendung finden. 

Zu Nummer 4 (§ 205 StGB) 

An dem Antragserfordemis bei Taten des Ausspähens von 
Daten (§ 202a StGB) soll weiterhin festgehalten werden. 
Auch für das Abfangen von Daten (§ 202b StGB) soll ein 
Antragserfordemis vorgesehen werden. Soweit die Straf- 
verfolgungsbehörde wegen eines besonderen öffentlichen 
Interesses an der Strafverfolgung ein Einschreiten von Amts 
wegen für geboten hält, soll jedoch in den Fällen der §§ 202a 
und 202b StGB auf den Antrag verzichtet werden können. 
Diese Einschränkung des Antragserfordernisses ist für eine 
effektive Verfolgung von Taten erforderlich, bei denen 
Daten von Dritten betroffen sind. Solche Dritte sind nicht 
Verletzte und damit nicht Antragsberechtigte, da nach 
herrschender Meinung im Falle des 202a StGB nur der- 
jenige, der formell über die Daten verfügen darf, Verletzter 
sein kann (MünchKomm-Graf, a. a. O., § 205 Rn. 8; 
Schönke/Schröder-Lenckner, a. a. O., § 205 Rn. 7; LK- 
Schünemann, a. a. O., § 205 Rn. 5; a. A. Lackner/Kühl, 
a. a. O., § 205 Rn. 2). 

§ 202c StGB soll dagegen kein Antragsdelikt sein. Anders 
als die §§ 202a und 202b StGB knüpft § 202c StGB nicht an 
eine Verletzung der Rechtsgüter Einzelner an, sondern stellt 
ein abstraktes Gefährdungsdelikt dar, so dass es (noch) kei- 
nen Geschädigten gibt, der einen Strafantrag stellen könnte. 
Auch im Hinblick auf § 202c StGB sind die §§ 153, 153a der 
Strafprozessordnung, §§ 45, 47 des Jugendgerichtsgesetzes 
anwendbar und stellen einen wichtigen Filter zur Verhinde- 
rung von unnötigen Strafverfahren dar, wenn die Schuld ge- 
ring ist und eine materielle Rechtsgutsbeeinträchtigung nicht 
vorliegt. 

Zu Nummer 5 (§ 303a StGB) 

Die Erweiterung des § 303a StGB dient der Umsetzung von 
Artikel 6 des Europarat-Übereinkommens. Nach Artikel 6 
Abs. 1 Buchstabe a sind bestimmte besonders gefährliche 
Vorbereitungshandlungen auch im Hinblick auf den Eingriff 
in Daten unter Strafe zu stellen. Daher soll der vorgeschlage- 
ne § 202c StGB auch auf die Vorbereitung einer Straftat nach 
§ 303a Abs. 1 StGB Anwendung finden (§ 303a Abs. 3 
StGB). 

Zu Nummer 6 (§ 303b StGB) 

1. Die Erweitemng des § 303b Abs. 1 StGB und die Ein- 
fügung eines neuen Absatzes 2 dienen der Umsetzung von 
Artikel 5 des Europarat-Übereinkommens (Eingriff in ein 
System) und Artikel 3 des EU-Rahmenbeschlusses 
(Rechtswidriger Systemeingriff). Diese sehen vor, die 
unbefugte schwere Behinderung oder Stömng des 
Betriebs eines Computer- und Infonnationssystems durch 
Eingeben, Übermitteln, Beschädigen, Löschen, Beein- 
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trächtigen, Verstümmeln, Verändern, Unterdrücken oder 
Unzugänglichmachen von Computerdaten im innerstaat- 
lichen Recht als Straftat zu umschreiben. 

Es wird daher vorgeschlagen, Absatz 1 auf Datenver- 
arbeitungen auszudehnen, die „für einen anderen“ von 
wesentlicher Bedeutung sind. Außerdem soll Absatz 1 in 
einer neuen Nummer 2 um die Tathandlungen des Einge- 
bens und Übermitteins erweitert werden. Die bisherige 
Nummer 2 wird Nummer 3. Zudem soll der bisherige 
Tatbestand der Computersabotage in einem neuen Ab- 
satz 2 als Qualifikationstatbestand aufrechterhalten blei- 
ben. Der bisherige Absatz 2 wird Absatz 3. 

a) Der Tatbestand der Computersabotage schützt bislang 
nur Datenverarbeitungen von fremden Betrieben, 
fremden Unternehmen und Behörden. Da das Europa- 
rat-Übereinkommen und der EU-Rahmenbeschluss 
jedoch auch Computer- und Informationssysteme von 
Privatpersonen erfassen, wird Absatz 1 erweitert, in- 
dem nunmehr generell auf Datenverarbeitungen abge- 
stellt wird. Dies zieht auch eine Änderung der Schutz- 
richtung des Straftatbestandes nach sich. Wurde als 
geschütztes Rechtsgut bislang das Interesse von Wirt- 
schaft und Verwaltung an der Funktionstüchtigkeit ih- 
rer Datenverarbeitung angesehen, so ist dies nun das 
Interesse der Betreiber und Nutzer von Datenverar- 
beitungen allgemein an deren ordnungsgemäßer 
Funktionsweise. 

Das Merkmal „von wesentlicher Bedeutung“ soll in 
der vorgeschlagenen Form aufrechterhalten bleiben. 
Es dient als Filter für Bagatellfälle, die durch den Tat- 
bestand nicht erfasst werden sollen. Eine solche 
Einschränkung ist nach Artikel 5 des Europarat-Über- 
einkonunens („schwere Behinderung“) und nach 
Artikel 3 des EU-Rahmenbeschlusses („wenn kein 
leichter Fall vorliegt“) zulässig. Um die Strafbarkeit 
nicht zu weit auszudehnen, ist diese Einschränkung 
auch erforderlich. Bei Privatpersonen als Geschädigte 
wird darauf abzustellen sein, ob die Datenverarbei- 
tungsanlage für die Lebensgestaltung der Privat- 
person eine zentrale Funktion einnimmt. So wird eine 
Datenverarbeitung im Rahmen einer Erwerbstätig- 
keit, einer schriftstellerischen, wissenschaftlichen 
oder künstlerischen Tätigkeit regelmäßig als wesent- 
lich einzustufen sein, nicht aber jeglicher Kommu- 
nikationsvorgang im privaten Bereich oder etwa 
Computerspiele. 

Da durch die Erweiterung des Tatbestandes auch we- 
niger schwerwiegende Fälle als bisher erfasst werden, 
soll der Strafrahmen auf Freiheitsstrafe bis zu drei 
Jahren abgesenkt werden. Die Anforderungen der 
Artikel 6 und 7 des EU-Rahmenbeschlusses an die 
Mindesthöchststrafe bleiben dabei erfüllt. Wird eine 
Datenverarbeitung gestört, die für einen fremden Be- 
trieb, ein fremdes Unternehmen oder eine Behörde 
von wesentlicher Bedeutung ist, soll es jedoch bei 
der bisherigen Strafdrohung verbleiben (vgl. neuer 
Absatz 2). 

b) Durch die vorgeschlagene Erweiterung des Ab- 
satzes 1 durch eine neue Nummer 2 sollen künftig 
auch solche zur Störung einer Datenverarbeitung 
führenden Fälle zur strafbaren Handlung werden, in 


denen - über die bereits von Nummer 1 im geltenden 
Recht erfassten Tathandlungen hinausgehend - Daten 
in Nachteilszufügungsabsicht eingegeben oder über- 
mittelt werden. 

Die Bedeutung dieser Erweiterung beruht vor allem 
darauf, dass auch an sich neutrale Handlungen wie 
das „Eingeben“ und „Übermitteln“ von Daten in ein 
Computersy stem bei unbefugter oder missbräuch- 
licher Begehungsweise geeignet sein können, erheb- 
liche Störungen zu verursachen. Beispiele hierfür sind 
die „Denial-of-Service-Attacken“, bei denen die 
Dienste eines Servers durch eine Vielzahl von Anfra- 
gen derart belastet werden, dass dessen Aufnahme- 
und Verarbeitungskapazität nicht ausreicht und somit 
der Zugang für berechtigte Kontaktaufnahmen mit 
dem Server blockiert oder zumindest erschwert wird. 

Das subjektive Korrektiv „in der Absicht, einem an- 
deren Nachteil zuzufügen“ stellt dabei sicher, dass 
beispielsweise in der Netzwerkgestaltung begründete 
gängige Aktivitäten oder andere zulässige Maßnah- 
men der Betreiber oder Unternehmen nur dann unter 
Strafe gestellt werden, wenn diese missbräuchlich, 
das heißt in Schädigungsabsicht erfolgen. Zur Aus- 
legung der Nachteilszufügungsabsicht kann auf die 
Auslegung des § 274 Abs. 1 Nr. 1 StGB zurückgegrif- 
fen werden. Erforderlich ist das Bewusstsein, dass der 
Nachteil die notwendige Folge der Tat ist. Ein Nach- 
teil ist jede Beeinträchtigung, nicht nur der Vermö- 
gensschaden. 

c) Die Einfügung des Merkmals „erheblich“ dient der 
Klarstellung. Eine Störung im Sinne des § 303b StGB 
wird allgemein erst dann angenommen, wenn eine 
nicht unerhebliche Beeinträchtigung des reibungs- 
losen Ablaufs der genannten Datenverarbeitung vor- 
liegt (vgl. Bundestagsdrucksache 10/5058, S. 35; 
Schönke/Schröder-Stree, a. a. 0., § 303b Rn. 10). Im 
Hinblick auf die Erweiterung des Tatbestandes auf 
Computer- und Informationssysteme von Privatperso- 
nen soll aber bereits im Tatbestand selbst hervorgeho- 
ben werden, dass nur Handlungen, die eine Erheblich- 
keitsschwelle überschreiten, strafbar sind. 

d) Die Versuchsstrafbarkeit soll auch für den erweiterten 
Grundtatbestand in § 303b Abs. 1 StGB bestehen 
bleiben. Eine solche wird durch Artikel 5 Abs. 2 des 
EU-Rahmenbeschlusses zwingend vorgeschrieben. 

e) Der bisherige Tatbestand der Computersabotage mit 
seiner erhöhten Strafdrohung soll als Qualifikations- 
tatbestand aufrechterhalten bleiben. In den Fällen, in 
denen eine Datenverarbeitung für einen fremden Be- 
trieb, ein fremdes Unternehmen oder eine Behörde 
von wesentlicher Bedeutung ist, ist die Strafe daher 
neben Geldstrafe weiterhin Freiheitsstrafe bis zu fünf 
Jahren. 

f) Eine Computersabotage ist bereits nach geltendem 
Recht Antragsdelikt nach § 303c StGB. Dies soll auch 
für den erweiterten Tatbestand gelten. 

2. Der Entwurf sieht in Absatz 4 eine Strafzumessungsregel 

für besonders schwere Fälle der Computersabotage vor, 

die sich vom Strafrahmen des Absatzes 2 nicht immer an- 
gemessen erfassen lassen. Die in den Nummern 1 und 2 
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vorgeschlagenen Regelbeispiele enthalten unter anderem 
auch die Strafzumessungsregeln der Tatbestände des 
Computerbetrugs (§ 263a Abs. 2 in Verbindung mit 
§ 263 Abs. 3 Satz 2 Nr. 1 und 2 StGB) und der Fälschung 
beweiserheblicher Daten (§ 269 Abs. 3 in Verbindung 
mit § 267 Abs. 3 Satz 2 Nr. 1 und 2 StGB). Die Num- 
mer 3 entspricht überwiegend § 3 16b Abs. 3 StGB. 

Computersabotagehandlungen können beträchtliche wirt- 
schaftliche Schäden nach sich ziehen. Wenn solche 
Handlungen zu hohen Vermögensverlusten bei den betrof- 
fenen Behörden oder Unternehmen führen, ist es sach- 
gerecht, die Sabotagehandlungen in der Regel mit einer 
höheren Strafe zu ahnden. Dies gilt auch für die gewerbs- 
oder bandenmäßige Begehung von Computersabotage. 
Die Auslegung der Merkmale in den Nummern 1 und 2 
kann sich an der Auslegung dieser Merkmale in anderen 
Strafzumessungsregelungen orientieren. 

Da eine Störung der Datenverarbeitung nach § 303b 
StGB nicht den in § 316b StGB vorausgesetzten Grad der 
Störung öffentlicher Betriebe erreichen muss (vgl. Bun- 
destagsdrucksache 10/5058, S. 35), im Hinblick auf die 
technischen Entwicklungen dennoch schwere Folgen für 
die Allgemeinheit nach sich ziehen kann, soll das Regel- 
beispiel in § 316b Abs. 3 StGB künftig auch für beson- 
ders schwere Fälle der Computersabotage vorgesehen 
werden (Nummer 3). Dies trägt auch der Tatsache Rech- 
nung, dass die Verfahrensabläufe in besonders schützens- 
werten Infrastrukturen, z. B. öffentlichen Versorgungs- 
werken und Krankenhäusern, heute überwiegend 
elektronisch erfolgen und damit für Sabotageakte beson- 
ders anfällig sind. In gleicher Weise anfällig sind solche 
Infrastrukturen, die der Versorgung der Bevölkerung mit 
lebenswichtigen Dienstleistungen, z. B. Energie- und 
Bankwirtschaft, und der Sicherheit der Bundesrepublik 
Deutschland dienen, so dass von Nummer 3 auch die be- 
sonders schweren Folgen von Angriffen auf solche Infra- 
strukturen erfasst werden sollen. 

Die Auslegung des Begriffs der Sicherheit der Bundesre- 
publik Deutschland kann sich an der Begriffsbestimmung 
und Auslegung des § 92 Abs. 3 Nr. 2 StGB orientieren. 
Der Begriff Sicherheit umfasst die innere und äußere Si- 
cherheit. Durch die Gleichstellung der Beeinträchtigung 
der Sicherheit der Bundesrepublik Deutschland mit der 
Beeinträchtigung der Versorgung der Bevölkerung mit 
lebenswichtigen Gütern oder Dienstleistungen soll klar- 
gestellt werden, dass die erhöhte Strafdrohung nur für 
Angriffe mit vergleichbar schweren Folgen gilt. 

3. Der vorgeschlagene neue Absatz 5 dient der Umsetzung 
von Artikel 6 des Europarat-Übereinkommens. Nach 
Artikel 6 Abs. 1 Buchstabe a sollen bestimmte besonders 
gefährliche Vorbereitungshandlungen auch im Hinblick 
auf den Eingriff in ein System selbstständig mit Strafe 
bedroht werden. Daher soll der vorgeschlagene § 202c 
StGB auch auf die Vorbereitung einer Straftat nach 
§ 303b Abs. 1 StGB Anwendung finden (§ 303b Abs. 4 
StGB). 

Zu Nummer 7 (§ 303c StGB) 

Es handelt sich um eine redaktionelle Folgeänderung. 


Zu Artikel 2 (Änderung des Gesetzes 

über Ordnungswidrigkeiten) 

Artikel 8 Abs. 2 des EU-Rahmenbeschlusses erfordert die 
Verantwortlichkeit einer juristischen Person grundsätzlich 
bereits dann, wenn mangelnde Überwachung oder Kontrolle 
einer ihrer Leitungspersonen die Begehung der in den 
Artikeln 2, 3, 4 und 5 genannten Straftaten ermöglicht hat. 
Eine entsprechende Vorgabe enthält Artikel 12 Abs. 2 des 
Europarat-Übereinkommens im Hinblick auf die dort um- 
schriebenen Delikte. Die Tatbestände der §§ 202a, 202b, 
202c, 303a und 303b StGB, auch in Verbindung mit den 
§§ 26, 27 StGB, mit denen die Vorgaben der Artikel 2 bis 5 
des EU-Rahmenbeschlusses und der Artikel 2 bis 8 und 11 
Abs. 1 des Europarat-Übereinkommens umgesetzt werden, 
sind Allgemeindelikte, die von jedermann verwirklicht 
werden können. Die in § 130 Abs. 1 Satz 1 OWiG vorge- 
sehene Streichung der Wörter „als solchen“ soll daher klar- 
stellen, dass § 130 OWiG nicht nur Sonderdelikte erfasst, 
sondern - ebenso wie § 30 OWiG - grundsätzlich auch All- 
gemeindelikte erfassen kann (so schon die h. M. zum bishe- 
rigen Recht, vgl. u. a. Göhler/König, OWiG, 14. Aufl., § 130 
Rn. 1 8 m. N.; a. A. Rogall in Karlsruher Kommentar, OWiG, 
3. Aufl., § 130 Rn. 87 ff, ebenfalls m. N.). Daher können 
auch die vorstehend genannten Straftatbestände des Ausspä- 
hens von Daten, des Abfangens von Daten, des Vorbereitens 
des Ausspähens und Abfangens von Daten, der Datenverän- 
derung und der Computersabotage taugliche Bezugstaten 
nach § 130 OWiG sein und damit über diese Vorschrift eine 
Verantwortlichkeit der juristischen Person nach § 30 OWiG 
begründen. 

Trotz dieser Streichung bleibt es aber bei dem - auch bei 
§ 30 OWiG geltenden - Erfordernis, dass die Pflichtverlet- 
zung im Zusammenhang mit der Betriebs- oder Untemeh- 
mensführung erfolgt sein muss (vgl. Göhler/König, a. a. O., 
§ 30 Rn. 20, § 130 Rn. 18), womit insbesondere Pflichtver- 
letzungen mit per se höchstpersönlichem Einschlag, aber 
auch solche, die keinen Bezug zur wirtschaftlichen Betäti- 
gung des Betriebs oder Unternehmens haben, weiterhin aus- 
geschlossen bleiben. Für die hier in Rede stehenden Delikte 
der Computerkriminalität bedeutet dies zum Beispiel Fol- 
gendes: Handelt es sich um ein Unternehmen, das für einen 
Kunden eine neue Software entwickelt, und verschaffen sich 
die Mitarbeiter im Rahmen dieser Entwicklungstätigkeit un- 
befugt Zugang zu besonders gesicherten Daten des Kunden, 
löschen oder verändern sie rechtswidrig dessen Daten oder 
beschädigen sie dessen Datenverarbeitungsanlage, so wird 
dieser Zusammenhang zur Unternehmens- und Betriebs- 
tätigkeit in der Regel zu bejahen sein. Wird die Tat hingegen 
zum Beispiel von dem allein für den internen EDV-Einsatz 
zuständigen Mitarbeiter eines Architekturbüros gelegentlich 
seiner Tätigkeit im Hinblick auf die Daten einer Privatperson 
verübt, wird es daran fehlen. Im Übrigen kann bei der 
konkreten Rechtsanwendung auf die - auch zu § 30 OWiG - 
entwickelte Rechtsprechung zurückgegriffen werden (vgl. 
zuletzt OLG Celle vom 26. November 2004, NStZ-RR 2005, 
S. 82 fi, zu § 30 OWiG). 

Das Erfordernis des betrieblichen Zusammenhanges wider- 
spricht auch nicht den Vorgaben des EU-Rahmenbeschlusses 
und des Europarat-Übereinkommens, da diese nur solche 
Taten erfassen, die „zugunsten der juristischen Person“ be- 
gangen werden. Dieses Merkmal verdeutlicht, dass sich die 
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Tat auf die Tätigkeit der juristischen Person beziehen muss 
und es daher gerechtfertigt ist, weiterhin einen Zusammen- 
hang zur Unternehmens- und Betriebsführung einzufordem, 
um den Haftungsrahmen für den Inhaber eines Betriebs oder 
Unternehmens nicht zu überspannen. 

Zu Artikel 3 (Inkrafttreten) 

Die Vorschrift regelt das Inkrafttreten des Gesetzes. Der 
EU-Rahmenbeschluss verpflichtet die Mitgliedstaaten, die 
erforderlichen Umsetzungsmaßnahmen bis spätestens 
16. März 2007 zu treffen (Artikel 12 des EU-Rahmen- 
beschlusses). Einer Frist, um sich auf die neue Rechtslage 
einzustellen, bedarf es nicht. Das Gesetz soll deshalb bereits 
am Tag nach der Verkündung im Bundesgesetzblatt in Kraft 
treten. 
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Anlage 2 

Stellungnahme des Bundesrates 


Der Bundesrat hat in seiner 827. Sitzung am 3. November 
2006 beschlossen, zu dem Gesetzentwurf gemäß Artikel 76 
Abs. 2 des Grundgesetzes wie folgt Stellung zu nehmen: 

1. Zum Gesetzentwurf insgesamt 

a) Der Bundesrat stimmt der Bundesregierung in ihrer 
Auffassung zu, dass das geltende Computerstrafrecht 
verbessert werden muss. Die Defizite des geltenden 
Rechts, die unter anderem durch die rasche Fortent- 
wicklung der modernen Kommunikationsmöglichkei- 
ten bedingt sind, sind in der Begründung des Regie- 
rungsentwurfs zutreffend dargestellt. 

b) Der Bundesrat weist jedoch zugleich daraufhin, dass 
die Gefahr besteht, durch eine weite Tatbestandsfas- 
sung ein Spektrum von Handlungsweisen in die Straf- 
barkeit einzubeziehen, die das Verdikt der Strafbar- 
keit nicht verdienen. Diese Problematik, die bereits 
das geltende Recht betrifft und die der Regierungsent- 
wurf im Grundsatz nicht verkennt, ist noch nicht über- 
zeugend gelöst, ln diesem Zusammenhang weist der 
Bundesrat beispielhaft auf Folgendes hin: 

aa) Mit der Neufassung des § 202a StGB soll das 
Phänomen des „Hacking“ besser erfasst werden. 
Soweit das „Hacking“ im eigentlichen Sinne, al- 
so das unbefugte Eindringen in fremde Compu- 
tersysteme durch Missbrauch der modernen 
Kommunikationsmöglichkeiten, in Frage steht, 
bestehen auch keine Bedenken in Bezug auf die 
Strafwürdigkeit und Strafbedürftigkeit. Jedoch 
reicht die Strafbarkeit weit über solche Konstel- 
lationen hinaus. Dies ist vor allem darauf zurück- 
zuführen, dass der Entwurf auf den Zugang zu 
Daten abstellt, kaum aber noch elektronische 
Geräte existieren, die ohne Datenspeicherung 
und -Verarbeitung auskommen. Beispielsweise 
würde sich nach dem Entwurf wohl strafbar ma- 
chen, wer sich Zugang zu dem von seinem Kind 
verschlossenen MP3-Player verschafft, um die 
darauf gespeicherten Musikstücke anzuhören. 
Dies würde jedenfalls dann gelten, wenn das 
Kind durch den Verschluss auch verhindern will, 
dass ein Dritter hört, welche Musik er konsu- 
miert. Ebenfalls strafbar machen würde sich der 
Jugendliche, der sich das von seinen Eltern an 
einem (vermeintlich) sicheren Ort verwahrte 
Passwort für nicht jugendfreie Sendungen im 
Pay-TV verschafft und sich verbotener Weise 
eine solche Sendung ansieht. Es handelt sich da- 
bei lediglich um Beispiele aus einer nicht über- 
schaubaren Palette von Handlungen, die unter 
den neuen Tatbestand fallen würden. Der Um- 
stand hat Auswirkungen auch auf die Reichweite 
des vorgeschlagenen § 202c StGB-E, der an 
§ 202a StGB ankniipft. 


Es erscheint nicht überzeugend, in diesem Zu- 
sammenhang auf die Möglichkeit der Verfahrens- 
einstellung nach Opportunitätsgrundsätzen zu 
verweisen. 

bb) In § 202c StGB-E sollen Vorbereitungshandlun- 
gen unter Strafe gestellt werden. Auch insoweit 
verfolgt der Regierungsentwurf in Übereinstim- 
mung mit dem umzusetzenden Rahmenbeschluss 
wichtige Anliegen, namentlich, um der Ver- 
breitung von „Hacker-Tools“ entgegenzuwirken. 
Jedoch ist der Tatbestand abermals sehr weit ge- 
raten. Auch im Hinblick darauf, dass bezüglich 
der vorbereiteten Tat bedingter Vorsatz ausreicht, 
würden künftig wohl unter anderem die folgen- 
den Verhaltensweisen in die Strafbarkeit einbezo- 
gen: 

Der gerade auf Dienstreise befindliche „Täter“ 
(Angehöriger einer Behörde oder eines Unter- 
nehmens) übermittelt einer Schreibkraft sein 
Passwort, weil er dringend eine E-Mail aus 
seinem E-Mail-Postfach benötigt. Er rechnet da- 
bei damit und nimmt billigend in Kauf, dass sich 
die Schreibkraft bei weiteren Gelegenheiten mit 
seinem Passwort „einloggt“ und sich so den 
Zugang zu nicht für sie bestimmten Daten ver- 
schafft (was sie dann nicht tut). 

Der besonders vergessliche und auch etwas nach- 
lässige „Täter“ (Angehöriger einer Behörde oder 
eines Unternehmens) vermerkt sein Passwort im 
Nahbereich seines Computers. Er rechnet damit 
und nimmt in Kauf, dass etwa eine Reinigungs- 
kraft das Passwort findet und sich damit einloggt 
(was sie dann nicht tut). 

Dem lässt sich nicht überzeugend entgegen- 
halten, dass es in solchen Fällen an der Über- 
windung der Zugangssicherung durch den 
„Haupttäter“ fehlen würde, weil der Zugang zu 
den Daten demjenigen, der über das Passwort 
verfügt, keinen erheblichen zeitlichen oder tech- 
nischen Aufwand mehr bereitet (vgl. Einzel- 
begründung zu § 202a StGB-E, Bundes- 
ratsdrucksache 676/06, S. 14). Eine solche 
Interpretation kann schon deswegen nicht richtig 
sein, weil § 202c StGB-E in Bezug auf das Pass- 
wort sonst immer leerlaufen würde. Die dies- 
bezügliche Passage in der Entwurfsbegründung 
ist wohl in dem Sinne zu verstehen, dass die 
Überwindung der Zugangssicherung ohne 
Kenntnis des Passworts erheblichen Aufwand be- 
reiten muss. 

cc) § 303a StGB ist überaus heftiger Kritik aus nahe- 
zu dem gesamten Schrifttum ausgesetzt (vgl. 
etwa Tröndle/Fischer, § 303 a Rn. 4 mit zahl- 
reichen Nachweisen). So wirft die Frage der Ver- 
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fügungsberechtigung über die jeweiligen Daten 
vor allem in vernetzten Systemen kaum über- 
windliche Auslegungsprobleme auf (vgl. hierzu 
LK-Tolksdorf, § 303a Rn. 7, 8 ff.). Es ist zu 
befürchten, dass die Vorschrift in der gegenwär- 
tigen Fassung einer verfassungsrechtlichen Prü- 
fung nicht standhalten würde. 

dd) § 303b StGB soll auf den privaten Bereich erwei- 
tert werden. Damit ist auch eine erhebliche Aus- 
dehnung der Strafbarkeit verbunden. Dieser Um- 
stand erhält dadurch besonderes Gewicht, dass 
der Begriff der Datenverarbeitung aufgrund der 
bei elektronischen Geräten fortschreitenden Di- 
gitalisierung eine Vielzahl von Geräten erfasst 
(dazu schon oben Buchstabe a). Lediglich Bei- 
spiele sind Videorekorder, Hifi- Anlagen, Fern- 
sehgeräte oder Navigationssysteme bis hin zu 
Wasch- und Spülmaschinen oder etwa program- 
mierbaren Elektroherden. Die Störung des Be- 
triebs auch solcher Geräte kann nach der neuen 
Vorschrift strafbar sein, wenn die Datenverarbei- 
tung für den Berechtigten von wesentlicher Be- 
deutung ist. Im Extremfall kann damit selbst die 
Beeinträchtigung des Betriebs einer Wasch- oder 
Spülmaschine unter den Tatbestand der Com- 
putersabotage subsumiert werden. 

c) Der Bundesrat bittet, im weiteren Verlauf des Gesetz- 
gebungsverfahrens nach Lösungen zu suchen, mit 
denen die vorgenannten Probleme ausgeräumt oder 
zumindest vermindert werden. Er hält dies auch vor 
dem Hintergrund der derzeitigen tatsächlichen Ent- 


wicklung für zwingend geboten: Beispielsweise 
rechnet eine deutsche Staatsanwaltschaft aufgrund 
entsprechender Ankündigung eines Rechteinhabers 
damit, dass wegen der illegalen Verbreitung von 
lediglich vier Computerspielen über das Internet noch 
in diesem Jahr über 200 000 Urheberrechtsverstöße 
bei ihr angezeigt werden. Bei anderen Staatsanwalt- 
schaften wurden in der jüngsten Vergangenheit bereits 
mehrere 10 000 Fälle angezeigt. Den in dem Entwurf 
beschriebenen Verhaltensweisen kann unter Umstän- 
den eine ähnliche Breitenwirkung zukommen. Auch 
angesichts dessen muss zumindest eine auf die der 
Strafe würdigen und bedürftigen Handlungen be- 
grenzte Tatbestandsfassung angestrebt werden. 

2. Zu Artikel 1 Nr. 3 (§ 202c StGB) 

Der Bundesrat bittet, im weiteren Verlauf des Gesetzge- 
bungsverfahrens zu prüfen, 

a) ob die aktuelle Ausgestaltung des § 202c StGB-E 
beim gutwilligen Umgang mit allgemeinen Program- 
mier-Tools, -sprachen oder sonstigen Softwarepro- 
grammen sowie „Hacker-Tools“ zur Sicherheitsüber- 
prüfung von IT-Systemen ausreichend vor einer 
ungewollten Kriminalisierung schützt und 

b) ob der § 202c StGB-E um eine konkrete Aufnahme 
des Tatbestandes des „Phishing“ (Versuch, per E-Mail 
den Empfänger durch irreführende und manipulierte 
Angaben und Inhalte zur Herausgabe von Zugangsda- 
ten und Passwörtern zu bewegen) erweitert werden 
kann. 
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Anlage 3 

Gegenäußerung der Bundesregierung 


Zu Nummer 1 (Zum Gesetzentwurf insgesamt) 

Soweit der Bundesrat unter Buchstabe c bittet, nach Lösun- 
gen zu suchen, mit denen die unter Buchstabe b genannten 
Probleme zu weiter Tatbestandsfassungen ausgeräumt oder 
vennindert werden, hält die Bundesregierung Änderungen 
bei den vorgeschlagenen Tatbestandsfassungen nicht für ver- 
anlasst. Die vorgeschlagenen Straftatbestände sind bereits 
eng gefasst, um der Gefahr, nicht strafwürdige Handlungs- 
weisen zu erfassen, wirksam zu begegnen. Zu den vom Bun- 
desrat unter Buchstabe b gebildeten Beispielsfällen weist die 
Bundesregierung auf Folgendes hin: 

Zu Doppelbuchstabe aa 

Die vom Bundesrat angesprochenen Fälle der bloßen In- 
gebrauchnahme von gesicherten elektronischen Geräten 
gegen den Willen des Berechtigten werden durch das Tat- 
bestandsmerkmal der besonderen Zugangssicherung („die 
gegen unberechtigten Zugang besonders gesichert sind“) aus 
dem Anwendungsbereich des § 202a StGB herausgefiltert. 
Dieses Tatbestandsmerkmal soll gegenüber der bisher gel- 
tenden Fassung des § 202a StGB unverändert beibehalten 
werden. Geändert werden soll lediglich das Merkmal der Da- 
tenverschaffung. Ausreichend soll künftig die Verschaffung 
des Zugangs zu Daten sein. Diese Änderung hat keine Aus- 
wirkungen auf die vom Bundesrat gebildeten Fälle. Zur 
Nichterfassung nicht strafwürdiger Fälle wird im Übrigen 
auf die Gesetzesbegründung (Teil B., zu Artikel 1, zu den 
Nummern 2 und 3) verwiesen. 

Zu Doppelbuchstabe bb 

Die Herausgabe des Passworts durch den Berechtigten führt 
nicht dazu, dass dieser sich wegen des Vorbereitens des Aus- 
spähens und Abfangens von Daten strafbar machen kann, 
wenn er damit rechnet oder es in Kauf nimmt, dass der Emp- 
fänger des Passworts dieses missbräuchlich nutzt, um auf 
Daten des Berechtigten zuzugreifen. Der Verschaffung des 
Zugangs zu Daten mit Hilfe des freiwillig durch den Berech- 
tigten herausgegebenen Passworts stellt bereits keine Com- 
puterstraftat im Sinne des § 202a StGB dar. Es fehlt an dem 
objektiven Tatbestandsmerkmal der Überwindung der be- 
sonderen Zugangssicherung. 

Zu Doppelbuchstabe ec 

§ 303a Abs. 1 StGB soll im Rahmen des vorgeschlagenen 
Gesetzentwurfs nicht geändert werden. Soweit der Bundes- 
rat die Befürchtung äußert, dass § 303a Abs. 1 StGB in der 
derzeit gültigen Fassung einer verfassungsrechtlichen Prü- 
fung nicht standhalten würde, hält die Bundesregierung die- 
se Befürchtung nicht für begründet. In der Literatur besteht 
zwar Einigkeit darüber, dass ohne die Einbeziehung des 
Merkmals „rechtswidrig“ der Tatbestand keinen Unrechts- 
typ beschreibt. Dieser kann erst dadurch konstruiert werden, 
dass aus dem Rechtswidrigkeitserfordemis ein einschrän- 
kendes Tatbestandselement abgeleitet wird. Ein Grund zu 


einer weiteren Änderung des Tatbestandes besteht aber 
nicht. Die Einschränkung entspricht dem Willen des Gesetz- 
gebers. In der Gesetzesbegründung wird darauf hingewie- 
sen, dass sich die Rechtswidrigkeit sowohl aus der Verlet- 
zung des Verfügungsrechts des Speichernden als auch aus 
der Verletzung von Interessen des vom Inhalt der Daten Be- 
troffenen (§ 43 des Bundesdatenschutzgesetzes) ergeben 
kann (Bundestagsdrucksache 10/5058, S. 34). Zwar wird in 
der Literatur teilweise die Verfassungsmäßigkeit der Vor- 
schrift wegen der (angeblichen) Unbestimmtheit des Tatbe- 
standes in Frage gestellt. Allerdings hat bereits das Bayeri- 
sche Oberste Landesgericht in seinem Urteil vom 24. Juni 
1993 (Az.: 5 St RR 5/93) eine Verurteilung wegen Datenver- 
änderung nach § 303a StGB bestätigt, ohne die Verfassungs- 
mäßigkeit des Tatbestandes zu problematisieren. 

Zu Doppelbuchstabe dd 

Die Erweiterung des § 303b StGB auf den privaten Bereich 
dient der Umsetzung des Europarat-Übereinkommens und 
des EU-Rahmenbeschlusses. Um die Strafbarkeit nicht zu 
weit auszudehnen und Bagatellfälle nicht zu erfassen, wurde 
die engste noch mögliche Fassung für die Umsetzung der 
internationalen Rechtsinstrumente gewählt. Dabei dienen 
sowohl das Merkmal der Datenverarbeitung „von wesent- 
licher Bedeutung“ als auch das Merkmal „erheblich stört“ 
als Filter für Bagatellfälle. Zu beiden Merkmalen gibt es be- 
reits durch Literatur und Rechtsprechung eine gefestigte 
Auslegung. Zudem wird nicht jede Störungshandlung unter 
Strafe gestellt; strafbar sind nur die in Absatz 1 Nr. 1 bis 3 
aufgeführten Handlungen. Damit ist in dreifacher Weise si- 
chergestellt, dass Bagatellfälle im privaten Bereich nicht von 
§ 303b StGB erfasst werden. Dies wird ausdrücklich in der 
Gesetzesbegründung klargestellt. 

Zu Nummer 2 (Zu Artikel 1 Nr. 3, § 202c StGB) 

Die Bundesregierung hat die vom Bundesrat angesproche- 
nen Fragen bereits bei der Erstellung und Abstimmung des 
Regierungsentwurfs einer eingehenden Überprüfung unter- 
zogen. 

Zu Buchstabe a 

Die Befürchtung, dass auch der gutwillige Umgang mit 
Softwareprogrammen zur Sicherheitsüberprüfung von IT- 
Systemen von § 202c StGB-E erfasst werden könnte, ist 
nicht begründet. Die Nichterfassung des gutwilligen Um- 
gangs mit Softwareprogrammen zur Sicherheitsüberprüfüng 
von IT-Systemen wird bereits auf Tatbestandsebene durch 
zwei gesetzliche Tatbestandsmerkmale abgesichert. Einer- 
seits muss es sich objektiv um ein Computerprogramm han- 
deln, dessen Zweck die Begehung einer Computerstraftat ist, 
und andererseits muss die Tathandlung - also das Herstellen, 
Verschaffen, Verkaufen, Überlassen, Verbreiten oder sonst 
Zugänglichmachen - zur Vorbereitung einer Computerstraf- 
tat erfolgen. 
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Durch die objektive Beschränkung auf Computerprogram- 
me, deren Zweck die Begehung einer Computerstraftat ist, 
wird bereits auf Tatbestandsebene sichergestellt, dass keine 
Computerprogramme erfasst werden, die beispielsweise der 
Überprüfung der Sicherheit oder Forschung in diesem 
Bereich dienen. Unter Strafe gestellt werden lediglich das 
Herstellen, Verschaffen, Verbreiten usw. solcher Program- 
me, denen die illegale Verwendung immanent ist, die also 
nach Art und Weise des Aufbaus oder ihrer Beschaffenheit 
auf die Begehung von Computerstraftaten angelegt sind. Bei 
Programmen, deren funktionaler Zweck nicht eindeutig ein 
krimineller ist und die erst durch ihre Anwendung zu einem 
Tatwerkzeug eines Kriminellen oder zu einem legitimen 
Werkzeug (z. B. bei Sicherheitsüberprüfungen oder im For- 
schungsbereich) werden (sog. dual use tools), ist der objek- 
tive Tatbestand des § 202c StGB-E nicht erfüllt. Die bloße 
Eignung von Software zur Begehung von Computerstraf- 
taten ist daher nicht ausreichend, so dass auch solche Pro- 
gramme aus dem Tatbestand herausfallen, die lediglich zur 
Begehung von Computerstraftaten missbraucht werden 
können. 

Zudem muss die Tathandlung zur Vorbereitung einer Com- 
puterstraftat (§§ 202a, 202b, 303a, 303b StGB) erfolgen. 
Entscheidend für die Tatbestandserfüllung des § 202c 
StGB-E ist, dass der Täter eine eigene oder fremde Compu- 
terstraftat in Aussicht genommen hat. Das ist nicht der Fall, 
wenn das Computerprogramm beispielsweise zum Zwecke 
der Sicherheitsüberprüfung, zur Entwicklung von Sicher- 
heitssoftware oder zu Ausbildungszwecken in der IT-Sicher- 
heitsbranche hergestellt, erworben oder einem anderen 
überlassen wurde, da die Sicherheitsüberprüfung, die Ent- 
wicklung von Sicherheitssoftware oder die Ausbildung im 
Bereich der IT-Sicherheit keine Computerstraftat darstellen. 


Das gilt auch für den Fall, in dem ein Computerprogramm, 
das ursprünglich nur zu kriminellen Zwecken hergestellt 
worden ist, verschafft, verkauft, überlassen, verbreitet oder 
sonst zugänglich gemacht wird, wenn dies ausschließlich zu 
nicht kriminellen Zwecken erfolgt und keine Anhaltspunkte 
für eine eigene oder fremde Computerstraftat nach den 
§§ 202a, 202b, 303a, 303b StGB bestehen. Auch in diesem 
Fall wird keine Computerstraftat in Aussicht genommen. 
Wenn also beispielsweise in den Fällen des Entwickelns von 
Sicherheitssoftware auch Schadprogramme verschafft wer- 
den, dann erfolgt dies nicht zur Vorbereitung einer Compu- 
terstraftat nach den §§ 202a, 202b, 303a, 303b StGB und ist 
daher nicht nach den § 202c StGB-E strafbar. § 202c 
StGB-E ist demzufolge nicht so zu verstehen, dass allein das 
Herstellen, Verschaffen, Verkaufen, Überlassen, Verbreiten 
oder sonst Zugänglichmachen der in Rede stehenden 
Computerprogramme ein Vorbereiten der Computerstraf- 
taten nach den §§ 202a, 202b, 303a, 303b StGB darstellt. 

Zu Buchstabe b 

Die Bundesregierung hat bereits bei der Erarbeitung des Ge- 
setzentwurfs geprüft, ob die Aufnahme eines ausdrücklichen 
Phishing-Straftatbestandes in das Strafgesetzbuch erforder- 
lich ist. Im Rahmen der Länderbeteiligung zu diesem Ge- 
setzentwurf erfolgte eine Befragung der Strafverfolgungs- 
praxis. Auf der Grundlage dieser Befragung haben fast alle 
Landesjustizverwaltungen mitgeteilt, dass sie einen ausrei- 
chenden strafrechtlichen Schutz gegen Phishing-Angriffe 
nach geltendem Recht für gewährleistet halten und zumin- 
dest derzeit keine Notwendigkeit für ergänzende strafrecht- 
liche Regelungen sehen. Die Bundesregierung teilt diese 
Auffassung. 
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